⚠️ مسودة هيكلية — وليست وثيقة نهائية. اتفاقية معالجة البيانات وثيقة ملزمة قانونياً، ويجب أن يراجعها محامٍ مختص قبل توقيعها مع أي تاجر.

اتفاقية معالجة البيانات (DPA)

هذه الاتفاقية جزء لا يتجزأ من شروط الاستخدام، وتنظّم معالجة Qrenox للبيانات الشخصية لعملاء التاجر.

1. الأدوار

التاجر = المراقب (Controller)

هو الذي يحدد أغراض المعالجة ووسائلها، ويقرر مع من يتواصل وبأي محتوى ولأي غرض. وهو المسؤول عن الحصول على موافقة عملائه.

Qrenox = المعالج (Processor)

تعالج البيانات فقط بناءً على تعليمات التاجر الموثقة، وفي حدود ما هو ضروري لتقديم الخدمة.

[[ مطلوب مراجعة قانونية: تأكيد التكييف — هل يؤدي استخدام بيانات المحادثات لتحسين الخدمة إلى انتقالنا من دور المعالج إلى دور المراقب المشترك؟ ]]

2. موضوع المعالجة ومدتها

الموضوع

تأكيد طلبات الدفع عند الاستلام والتواصل المرتبط بها عبر واتساب.

المدة

مدة الاشتراك، زائد مدة الاحتفاظ المتفق عليها بعد الإنهاء ([[ المدة ]]).

الطبيعة والغرض

الجمع، التخزين، المعالجة الآلية (بما فيها معالجة لغوية بالذكاء الاصطناعي)، الإرسال لمعالجات فرعية، والحذف.

3. أنواع البيانات وفئات الأشخاص

لا نعالج بيانات حساسة (صحية أو دينية أو بيومترية أو بنكية). إذا أدخل العميل بيانات من هذا النوع في محادثة حرة، فإنها تبقى مخزنة كنص عادي ضمن سجل المحادثة. [[ مطلوب مراجعة قانونية: كيفية التعامل مع هذه الحالة ]]

4. تعليمات التاجر

نعالج البيانات فقط بحسب تعليمات التاجر، والمتمثلة في:

• إعدادات الخدمة التي يضبطها في لوحة التحكم
• الطلبات التي يرسلها متجره
• هذه الاتفاقية وشروط الاستخدام

[[ مطلوب مراجعة قانونية: التزام إشعار التاجر إذا كانت تعليماته مخالفة للقانون، وتحديد التعليمات الإضافية المقبولة وكيفية إرسالها ]]

5. السرية

كل شخص لديه صلاحية الوصول إلى البيانات ملزم بالسرية. [[ مطلوب مراجعة قانونية: صيغة الالتزام وما إذا كانت اتفاقيات سرية موقعة مطلوبة مع كل متعاون ]]

6. الإجراءات الأمنية

• تشفير بيانات الاعتماد الحساسة عند التخزين
• تشفير الاتصالات (TLS)
• عزل بيانات كل تاجر — لا توجد مشاركة للبيانات بين التجار
• تحقق من توقيع كل طلب وارد من المتاجر ومن Meta
• صلاحيات حسب الدور لأعضاء فريق التاجر
• سجل تدقيق للعمليات الحساسة
• نسخ احتياطية دورية

[[ مطلوب مراجعة قانونية: صياغة تتناسب مع المادة 32 من GDPR من دون ادعاء شهادات غير موجودة أو الالتزام بمعايير غير مطبقة فعلياً ]]

7. المعالجات الفرعية

يرخّص التاجر لـQrenox باستخدام المعالجات الفرعية المذكورة في سياسة الخصوصية (Meta، DeepSeek، Hetzner، وشركات التوصيل).

[[ مطلوب مراجعة قانونية: آلية الإشعار قبل إضافة معالج فرعي جديد، ومدة الاعتراض، ونتيجة الاعتراض (حق الإنهاء؟)، والتزام فرض الالتزامات نفسها على المعالج الفرعي ]]

8. النقل الدولي

تُخزّن البيانات وتُعالج خارج المغرب (على خوادم في أوروبا)، وقد تمر كذلك عبر مزودين خارج الاتحاد الأوروبي.

[[ مطلوب مراجعة قانونية: الآلية لكل مسار نقل — CNDP (المغرب) وSCCs أو DPF (الاتحاد الأوروبي). يجب تحديد المسارات: المغرب ← ألمانيا، المغرب ← الولايات المتحدة، المغرب ← مزود الذكاء الاصطناعي ]]

9. مساعدة التاجر

نساعد التاجر في:

• الرد على طلبات الأشخاص المعنيين (وصول، تصحيح، حذف، اعتراض)
• تقييم أثر الحماية إذا كان ضرورياً
• التواصل مع سلطات الرقابة

[[ مطلوب مراجعة قانونية: آجال المساعدة وما إذا كانت بمقابل ]]

10. خروقات البيانات

عند اكتشاف خرق يمس بيانات عملاء التاجر، نُعلم التاجر [[ مطلوب مراجعة قانونية: تحديد الأجل بدقة — ينص GDPR على «من دون تأخير غير مبرر» وعلى 72 ساعة للمراقب تجاه السلطة، ولذلك يجب تحديد أجل أقصر للمعالج والالتزام به ]] مع المعلومات المتوفرة على طبيعة الخرق والبيانات المعنية والإجراءات المتخذة.

[[ مطلوب مراجعة قانونية: تحديد المسؤول عن إشعار الأشخاص المعنيين والسلطة — التاجر بصفته مراقباً ]]

11. التدقيق

[[ مطلوب مراجعة قانونية: حق التاجر في التدقيق — الكيفية والتكرار والإشعار وتحمل التكلفة. يُستعاض عادةً عن التدقيق الميداني بتقرير أو استبيان أمني ]]

12. الحذف وإرجاع البيانات

عند انتهاء الخدمة، نحذف البيانات أو نعيدها وفق اختيار التاجر.

[[ مطلوب مراجعة قانونية: أجل الاختيار والحذف وصيغة التصدير ومصير النسخ الاحتياطية، التي تبقى حتى انتهاء دورة النسخ ويجب التصريح بذلك ]]

13. المسؤولية

[[ مطلوب مراجعة قانونية: توزيع المسؤولية بين المراقب والمعالج وعلاقته بسقف المسؤولية في شروط الاستخدام ]]

14. الأسبقية

عند التعارض، تكون لهذه الاتفاقية الأسبقية على شروط الاستخدام فيما يخص معالجة البيانات الشخصية. [[ يتأكد ]]